Et la conférence précédente, nous avons vu comment créer une page Web qui exploite s. c. s notre vulnérabilité ne soumet pas automatiquement un
formulaire et nous avons vu comment nous pouvons exploiter pour amener la personne cible à changer son mot de
passe sans même le savoir
Ainsi, dès qu’ils auront double-cliqué sur le fichier, ce formulaire sera automatiquement envoyé.
Changer le mot de passe pour le mot de passe que nous voulons.
Un problème avec cela est qu’il est généralement un peu difficile d’amener les gens à exécuter des fichiers, même ceux qui ne sont qu’un
fichier hâtif M-L.
Et vous pouvez utiliser des compétences d'ingénierie sociale intelligentes pour les amener à le gérer.
C'est toujours un peu difficile et ce sera beaucoup plus facile si nous pouvons simplement leur envoyer un lien qui changera leur
mot de passe dès qu'ils cliquent sur ce lien.
Et cela est vraiment très facile car le fichier que nous avons créé est un fichier XML rapide.
Il suffit donc de télécharger ce fichier sur notre société d’hébergement Web. Vous savez qu’il existe de nombreux
services d’hébergement Web gratuits en ligne.
Vous pouvez simplement télécharger ce fichier ici.
Vous pouvez également utiliser votre service de raccourcissement pour le rendre plus court et moins suspect.
Et ensuite, vous pouvez l'envoyer à la personne cible.
Je vais donc vous montrer comment faire cela, mais je vais le faire sur mon
ordinateur local, car tout pour moi ici est local, mais cela fonctionne exactement de la même manière sur les sites Web externes.
Vous devrez simplement télécharger la page de démonstration sur notre hébergement Web.
Peu importe si c'est gratuit ou payant.
Mais il y en a beaucoup de gratuits.
Je vais donc utiliser mon serveur Apache local ici.
Ensuite, nous allons le parcourir à partir de notre machine Windows cible et voir comment cela va
être exécuté et comment le mot de passe va être changé.
Donc, avant de faire quoi que ce soit, je vais simplement rouvrir le fichier et définir le mot de
passe sur 7 7 7 7 7 7 et servir 6 6 6.
Nous savons donc simplement que le mot de passe a été changé pour le nouveau et que je le changerai ici aussi.
Et maintenant, je vais copier ceci sur mon serveur Web local et sur Cali.
Tout d’abord, je vais copier le fichier dans la racine de mon document pour que le fichier soit
maintenant stocké sur le bureau et je vais donc faire le C. P ordinateurs de bureau si à R W W W H D L.
Et maintenant, je vais commencer mon Apache alors je vais faire le service Apache pour
commencer maintenant tout fonctionne.
Donc, je vais juste pour obtenir
mon adresse IP et mon adresse IP est 10 20 14 à 30.
Donc, je vais juste aller sur une machine Windows.
Maintenant, dans cette machine, je prétends être un utilisateur cible.
Alors tout d'abord je dois être connecté à mon compte.
Donc je vais juste aller sur DVD-Vidéo A donc je vais me connecter avec mon nom d'utilisateur qui est admin et je
vais me connecter avec mon ancien mot de passe qui est ou à mon mot de passe actuel
ceux qui étaient répertorié précédemment qui est 6h06 est.
Maintenant, comme vous pouvez le voir, je peux me connecter normalement.
Maintenant je vais y aller je vais fermer ça.
Nous allons maintenant accéder à la page contenant les faux C-S sont exploités.
Nous allons donc prétendre que je suis un ingénieur social et que quelqu'un m'a donné envie de cliquer.
Donc, pour le moment, nous ne téléchargerons aucun fichier.
Nous n'allons pas cliquer deux fois sur un fichier.
Tout ce que nous allons faire, c'est littéralement parcourir le tout et une fois que nous aurons changé notre mot de
passe, la page, comme je l'ai dit, peut être hébergée sur un hébergement gratuit. Il y a beaucoup d'hébergement gratuit en ligne pour
le moment.
Je l’ai hébergé sur mon Callimachi en et son adresse IP est le 10 20 14 au 13.
Et puis je vais mettre mon nom de la page qui a été réglée sur C-s ou arrière-goût.
Je vais frapper entrer.
Comme vous pouvez le constater, le mot de passe a été modifié et tout ce que j'ai encore fait.
Tout ce que j'ai fait, c'est de courir comme vous êtes.
Et c’est donc à vous de décider comment vous allez convaincre votre cible d’exécuter que vous êtes absent.
Donc, si je me déconnecte maintenant et que je me connecte à nouveau, vous verrez que mon mot de passe me permet
maintenant de me connecter avec admin et que je vais taper le mot de passe ici. copiez tout cela et collez-le
simplement pour que vous sachiez que le mot de passe a été changé en 7 7 7 7.
Donc, vous êtes vulnérable. ALWIS 10 20 14 14 à 13 slash CSR.
Quiconque exécuterait cette tâche et se connecterait à son site Web cible sera forcé de modifier son mot de
passe en 7 7 7 7 7 7.
Maintenant, vous pouvez utiliser cette méthode.
Comme je l'ai dit avec tout site Web vulnérable à l'al. c. s ou F et ça forcera l'utilisateur à faire n'importe quelle
action.
Il suffit d’adopter la même méthode pour le formulaire.
Donc, qu’il s’agisse d’un formulaire de paiement ou d’un formulaire d’enregistrement, d’un article à
envoyer à un ami, vous pouvez simplement modifier le site Web, cliquer avec le bouton droit
de la souris, inspecter l’élément de formulaire tout copier le code du formulaire qui soumet le site Web ou
qui soumet le formulaire automatiquement.
Ensuite, vous pouvez envoyer le site Web hâtif M-L tel qu’il est à la personne cible ou vous
pouvez le télécharger sur un hébergement en ligne, puis simplement l’envoyer à la personne cible.
Une fois que vous avez parcouru la page Web, celle-ci sera automatiquement exécutée.
Forcez-les à changer leur mot de passe ou à effectuer l'action que vous souhaitez qu'ils fassent.